Gamepad — Mercado de jogos, tecnologia, segurança da informação e política

Uma vulnerabilidade recém-divulgada, registrada como CVE-2026-96795, coloca o Horilla, plataforma open source de RH e CRM bastante usada, no centro das atenções. A falha está no recurso de exportação de listas e permite que qualquer usuário autenticado injete sintaxe Python em uma função gerada dinamicamente e depois executada pela aplicação, transformando um simples botão de exportar em uma porta de entrada para execução remota de código.

Com pontuação CVSS 3.1 de 8.8, o impacto é grave: a exploração bem-sucedida permite rodar comandos arbitrários do sistema operacional com os privilégios do processo da aplicação, o que na imagem Docker oficial significa acesso root. Esse é o tipo de controle que permite a um atacante se espalhar por toda a rede corporativa, vazar dados de funcionários ou instalar backdoors persistentes.

A boa notícia é que a correção já existe. O Horilla 2.0.0 elimina o caminho inseguro de geração de código, e administradores devem atualizar imediatamente, sanitizar qualquer dado de coluna enviado pelo usuário e parar de passar entrada não confiável para chamadas exec(). Se você lida com dados sensíveis de RH ou de clientes, aplicar o patch hoje não é opcional.

Falha crítica de RCE no software Horilla HR permite que usuários autenticados executem código como root

#cybersec #rce #vulnerability #data-breach #horilla #code-injection #python

Ver detalhe →

Uma vulnerabilidade recem-divulgada esta colocando os firewalls Netgate pfSense em alerta maximo. Catalogada como CVE-2026-97730, a falha e um bug de inclusao local de arquivos no tratamento de widgets do Dashboard que permite a um atacante autenticado transformar um simples payload de path traversal em execucao remota de codigo.

O ataque e sorrateiro e eficaz: qualquer um capaz de alterar configuracoes do dashboard e gravar um arquivo no sistema pode apontar a interface para um arquivo PHP malicioso e ve-lo rodar como se fosse um widget normal. Ou seja, uma conta de admin comprometida ou descuidada pode virar um firewall sequestrado, justamente o que protege toda a sua rede.

A correcao ja esta disponivel. Atualize o pfSense Plus para 26.07 ou superior e o pfSense CE para 2.9.0 ou superior, depois restrinja os privilegios de modificacao do dashboard e sanitize a entrada dos widgets. Aplique o patch agora, porque um firewall que dispara contra voce e a ultima coisa que alguem precisa.

Falha critica no pfSense permite executar codigo no seu firewall

#cybersec #rce #vulnerability #firewall #path-traversal #pfsense #netgate

Ver detalhe →

Nesta semana em cibersegurança, a Cisco emitiu um alerta urgente sobre uma falha de autenticação de severidade máxima no Identity Services Engine (ISE) que já está sendo explorada ativamente. A vulnerabilidade, rastreada como CVE-2026-76460 com pontuação CVSS 10.0, permite que atacantes remotos não autenticados contornem a autenticação e acessem a interface de gerenciamento web.

Enquanto isso, pesquisadores demonstraram o Plugin4Shell, uma vulnerabilidade de execução remota de código sem clique que afeta os principais agentes de codificação de IA, como Claude Code, OpenAI Codex, GitHub Copilot e Google Gemini CLI. Em uma divulgação relacionada, a Hacktron revelou como usou o Claude Opus 5 da Anthropic para encadear duas falhas críticas e obter acesso não autorizado às contas ChatGPT de funcionários da OpenAI. Outros destaques incluem a apreensão dos domínios NightmareStresser pelos EUA, o novo malware bancário KREMLIN visando bancos brasileiros e um aumento nos ataques ClickFix. Fique atento e aplique as correções imediatamente.

Resumo semanal de cibersegurança: 0-day da Cisco, RCE em agentes de IA e nova onda de sequestros de navegador

#ai #openai #cybersecurity #rce #vulnerabilities #cisco #malware

Ver detalhe →

Pesquisadores de segurança acabaram de soltar um alerta crítico: o Mistral Vibe, o assistente de programação com IA, está vulnerável a execução remota de código em todas as versões anteriores à 2.25.5. A falha fica no processo de criação de worktrees, que dispara hooks do git antes mesmo de validar a confiança do repositório, permitindo que um repositório malicioso injete um hook post-checkout que roda comandos shell arbitrários com os privilégios do seu usuário.

Pense nisso por um instante. Só abrir um repositório não confiável pode dar a um atacante acesso direto à sua máquina, sem precisar de nenhuma cadeia de exploração sofisticada. A vulnerabilidade tem pontuação CVSS 8.8 e é explorável remotamente, o que a torna uma das mais perigosas do ano em ferramentas de desenvolvimento.

A correção é simples: atualize o Mistral Vibe para a versão 2.25.5 ou superior, evite criar worktrees de repositórios em que você não confia e reforce as políticas de execução de hooks do git.

Falha crítica de execução remota de código atinge o Mistral Vibe, atualize agora

#cybersecurity #rce #vulnerability #git #mistral #developer-tools

Ver detalhe →

Uma falha crítica de execução remota de código sem autenticação no Orkes Conductor está sob ataque ativo, e os números sobem rápido. A Fortinet relata o bloqueio de 1.290 tentativas de exploração em uma única janela de 24 horas, um salto de 132 por cento na atividade diária, com quase 7.000 tentativas barradas só entre 2 e 9 de setembro.

Registrada como CVE-2026-58138, com nota de severidade 9.8, a brecha permite que atacantes insiram JavaScript ou Python malicioso em definições de workflow inline e as disparem contra a API de workflow antes da autenticação. Como os avaliadores GraalVM rodam sem sandbox e com acesso irrestrito ao host, os invasores escapam do ambiente de script e executam comandos arbitrários do sistema operacional com os privilégios do processo do Conductor. O tráfego de ataque se concentra na Alemanha, Hong Kong, Indonésia, Emirados Árabes Unidos e Índia.

A correção é simples, mas urgente: atualize para o Conductor 3.30.2 ou superior. Se não puder aplicar o patch imediatamente, corte o acesso externo à API de workflow, coloque as instâncias atrás de controles de rede rigorosos e monitore envios suspeitos de workflow ou execuções inesperadas de comandos. E se quiser proteger sua própria conexão durante a resposta ao incidente, uma ferramenta como o ProtonVPN mantém seu tráfego criptografado e fora de vista.

Falha crítica no Orkes Conductor é explorada ativamente, com 1.290 tentativas de ataque bloqueadas em um único dia

#hacking #cybersecurity #privacy #rce #vulnerability #fortinet #orkes-conductor #cve-2026-58138

Ver detalhe →

$Uma vulnerabilidade recém-divulgada no HGiga OAKlouds chega com uma pontuação CVSS 3.1 brutal de 9.8, e é tão grave quanto parece. A falha é uma desserialização insegura, ou seja, o software reconstrói dados não confiáveis diretamente como objetos executáveis. Um atacante não autenticado só precisa enviar um payload serializado malicioso pela rede para o servidor executar código arbitrário por conta própria. Não é necessário login, não há interação do usuário e o ataque funciona totalmente à distância. Essa combinação coloca qualquer instância exposta do OAKlouds na mira, porque uma única requisição pode virar controle total do servidor. Enquanto o patch não chega, a orientação é parar de desserializar qualquer dado de origem não confiável, validar rigorosamente tudo que entra e tirar esses sistemas do acesso público à internet. Falhas críticas de execução remota de código como essa mostram que o tratamento de entrada continua sendo o elo mais fraco do software corporativo. Se você usa o produto afetado, trate o caso como emergência, segmente o serviço e monitore os logs em busca de tráfego serializado suspeito.$